API 接口设计中 Token 类型的分类与设计

在实际的网站设计中我们经常会遇到用户数据的验证和加密的问题，如果实现单点，如果保证数据准确，如何放着重放，如何防止CSRF等等

其中，在所有的服务设计中，都不可避免的涉及到Token的设计。

目前，基于Token的生成方，我们把Token生成分为两种类型。

1、基于用户/网站，可见的加密请求方式

2、基于服务器间通讯的不可见加密请求方式（API Token）

其中，网页/APP访问又分为 登录态和非登录态 两种请求区别。

（非登录态请求要求用户访问页面时会随机生成唯一且有时效性的token，该token在每次请求时都是不同）

（登录状态中，token会保存一定的时间，页面中的token会作为用户身份识别）

虽说两者作用有一定的区别，但是实现的原理是相同的。

1、非登录状态

原理：

非登录状态中，防止服务器资源被重复利用，我们在前端页面中会添加一步建立初始Session的过程，该过程来确保下一步关键请求不被利用。

一般这种验证方式用于体验页面，如：视频播放页面，项目或功能展示页面等

优点：

目的就是有点，防止token被盗用，重复请求服务器资源（类似于抖音视频播放时的签名算法作用）

缺点：

所有前端加密都有被破解的可能，需要对具体的JS进行混淆，同时添加https和来源判断

2、登录状态

 登录状态的Token

登录态token 通过服务器生成：

Encode(MD5({session}+{用户信息摘要}+{Timestamp})+TimeStamp)

　　

联合Redis 刷新用户登录时长及token有效时长。Redis设置自动过期时间。

验证方法：

decode(Token)->sign+TimeStamp

if(sign===MD5({session}+{用户信息摘要}+{Timestamp})){
　　// XXXX
}

（防止弱语言的判断逻辑，验证PW和Token要用=== 强类型判断）

退出登录：删除Redis 键值

单点登录：重新登录时信息更新，用户信息摘要不变，自动刷新Redis的Token值和有效期

3、API 非对称加密

api的非对称加密常用于服务器之间的请求，双方各自保存私钥和公钥。API接口中常体现于【APP_ID，APP_KEY|APP_SECRET】

Token 生成算法：

    /**
     * 生成token
     * @param $user_info string 
     * @param $app_key string  app_key
     * @param $app_id int app_id
     * @return string
     */
    public function generate_access_token($user_info , $app_key, $app_id)
    {
        $time = time();
        $sign = sha1($time . $advertiser_id . $app_key);
        $token = base64_encode("{$time},{$user_info },{$app_id},{$sign}");
        return $token;
    }

Token解析方法：

解密的方法中对时效性做了一分钟的验证，实际项目中可以根据情况开放失效的设置。

    /**
     * 解析token
     * @param $access_token
     * @return array
     */
    public function analysis_access_token($access_token)
    {

        $token_array = base64_decode($access_token);
        $token_array = explode(',', $token_array);
        $time = $token_array[0];
        $user_info = $token_array[1];
        $app_id = $token_array[2];
        $sign = $token_array[3];

        if ($time < (time() - 60) || $time > (time() + 60)) {
            call_back(1101, 'Access Token expire !token=' . $access_token);
        }

        global $third_platform_app_key;// app_id-app_key对应表

        if (!isset($third_platform_app_key[$app_id])) {
            call_back(1101, 'Access Token App id Error!token=' . $access_token);
        }

        $app_key = $third_platform_app_key[$app_id];

        $local_sign = sha1($time . $user_info . $app_key);

        if ($local_sign === $sign) {
            return [
                'access_token' => $access_token,
                'user_info' => $user_info,
                'time' => $time,
                'app_id' => $app_id,
                'app_key' => $app_key,
            ];
        } else {
            call_back(1101, 'Access Token Sign Error!token=' . $access_token);
        }
    }

 改Token方式要求每次请求都需要生成新的token来确保请求的时效性

另外：为了加强API接口请求的完整性，我们也会对请求内容进行字段排序后摘要验证。（详情参考：https://open.taobao.com/docV2.htm?docId=101617&docType=1）

今天的普及到这里就结束啦，谢谢大家，也欢迎大家留言讨论。